Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Настройка Cisco PIX Firewall / ASA

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41

Открыть новую тему     Написать ответ в эту тему

era

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Cisco PIX Firewall / ASA

 
Cisco PIX Firewall / ASA - OS ищем тут !
 
 
 
 
 
Полезные ссылки
http://cisco.com - тут как гворится есть всё !
http://ciscolab.ru - CiscoLab Лаборатория Сетей
http://www.opennet.ru/mp/cisco/ - Мини-портал Cisco на opennet.ru
http://faq-cisco.ru/ - cisco на русском
http://ru.wikipedia.org/wiki/Cisco - cisco на Wikipedia
http://dreamcatcher.ru -  
http://ods.com.ua/win/rus/rfc/faq/c_faq.html - FAQ по маршрутизаторам cisco
 
 
Уже обсуждалось
CISCO PIX 7.04 форвардинг портов. КАК?
Сброс пароля на Cisco PIX 501
cisco pix 501 config помогите
Помогите настроить PIX
Cisco ASA 55x0 Remote Access VPN
 
 
Родственные темы
Настройка Cisco оборудования.
 
 
FAQ
 
 
 
 

Всего записей: 1 | Зарегистр. 07-08-2002 | Отправлено: 10:41 07-08-2002 | Исправлено: slech, 09:30 11-06-2008
lypky



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Ребят, добрый день, в топике про роутеры уже спрашивал. Спрошу еще и тут.
 
Сразу скажу у меня опыта в настройке почти нет.  
Поэтому по возможности на пальцах объясните отличие и целесообразность приобретения.  
В одну компанию нужен следующий функционал (приблизительно):
1. Использовать два интернет канала от двух разных провайдеров. Один: это выделенный IP адрес (на 10 мегабит), другой роутер zyxel со свистком Yota в роли резервного канала на непонятно сколько мегабит (от 5 до 15 в среднем). Схема работы такая: работают оба канала, но если падает основной канал, то все сервисы переносятся на Йоту.  
2. На основной сервер выдать стабильную полосу пропускания. К примеру фиксированный мегабит.
3. Субарендаторам нужно по витой пару в кабинет дать интернет с фиксированным безлимитом (к примеру 256 или 512кб/сек). Субарендаторов максимум кабинетов 10 будет.
4. Остальную ширину канала отдать на гостевой вайфай. В роли вайфая будет выступать бюджетная точка доступа.
5. Я думаю проброс портов и впн сервер на внешнем интерфейсе это стандарт по умолчанию для любой железяки?  
7. Траффик между сервером и локальными рабочими машинами сотрудников будет просто через какой нибудь гигабитный свич бегать. Может конечно тоже циско (типа 2960). Там своих сотрудников будет не больше 10 человек я думаю. А пока и того меньше.  
8. Для сотрудников вайфая во внутреннюю сеть не будет. А для интернета пусть используют гостевую сеть.  
Я посмотрел в интернете цены и растерялся. Стоимость от 30 до 200 тысяч рублей. В общем что лучше роутер типа 2811 или Аса 5505?
 
Заранее спасибо.  

Всего записей: 699 | Зарегистр. 19-10-2006 | Отправлено: 02:53 27-11-2012
slaj1



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
lypky
привет
аса для целей маршрутизации я бы брать не стал
детальное описание функционала асы посмотрите на хабре
причины
нет pbr
нет возможности одновременного использования нескольких каналов;
нет вменяемого шейпинга.
 
для ваших целей нужен маршрутизатор
по ценникам советую глянуть на юзедциско
 
это вкратце

Всего записей: 913 | Зарегистр. 23-06-2003 | Отправлено: 07:42 27-11-2012
lypky



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
slaj1
Спасибо.  
 
А если поподробнее?
Как таковой маршрутизации на этом офисе и не предвидится на сколько я понимаю.
Просто раздача интернета разным пользователям. Ну и отказоустойчивость.  
 
1. Т.е. нельзя что бы 1 канал был для 1 группы пользователей, а другой канал для другой группы? И чтобы в случае падения 1 канала правило менялось и все пользователи ломились через тот канал который остался?
 
2. С шейпингом проблемы да? Т.е. в мини провайдера поиграть не получится?
 
3. Юзед циско это какой то конкретный сайт или это вы просто намекнули что нужно покупать б/у оборудование?
 
Спасибо.

Всего записей: 699 | Зарегистр. 19-10-2006 | Отправлено: 08:14 27-11-2012
slaj1



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
lypky
1. я не нашел возможности именно одновременного использования каналов.
т.е. аса сама умеет мониторить состояние канала и при необходимости пустит пакеты по второму, по-моему этот режим называется sla.
2.хотел на своей 5505 сделать шейпинг, но насколько читал, он в ней очень урезан относительно функционала маршрутизаторов, ну и прикруть несколькими командами его нельзя. правда, допкскаю, что у меня не хватает знаний в данном вопросе.
3. usedcisco.ru
 
Добавлено:
на текущий момент свою 5505 использую как  
фаейр на основном канале
организации дмз
проброса портов
организации vpn каналов

Всего записей: 913 | Зарегистр. 23-06-2003 | Отправлено: 08:40 27-11-2012
schukin



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
lypky  
Добрый день!
Честно говоря, я бы тоже остановился на маршрутизаторе. Настроить отслеживание рабочего канала и переключение на резервный это все легко на нем настраивается. Также настраивается policy с ограничением скорости. Субарендаторов в отдельные вланы. Если до сервера доступы нужны снаружи, то его бы тоже поместил в отдельный влан. Но по-возможности  траффик между локалкой и сервером, если он будет большой пустил бы мимо маршрутизатора (если коммутатор умеет). А файрвол можно настроить и аксесс-листами.  
Затем оценил бы максимальную загрузку и необходимые сервисы (VPN - ipsec, pptp и др.) и выбрал бы подходящий маршрутизатор. Можете посмотреть в сторону CISCO1941/K9.

Всего записей: 36 | Зарегистр. 25-04-2006 | Отправлено: 20:48 03-12-2012
barman01

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
lypky
 
По сути ASA 5505 может это все сделать. Если два канала должны работать одновременно и один из них дублирующий в тоже время, то нужно две асы, т.к. asa не умеет делать одновременно два активных маршрута. Стоят они где-то 12-13 тыр самые дешевые + keygen и получишь самую дорогую с неограниченным числом внутренних хостов. Если совсем заморочиться, то можно еще третью асу поставить в кластер к основной. Но вот Ёту совсем не советую использовать, т.к. виснет постоянно, а особенно свисток.

Всего записей: 33 | Зарегистр. 02-03-2006 | Отправлено: 12:22 13-12-2012 | Исправлено: barman01, 12:29 13-12-2012
lypky



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Уважаемые,slaj1,schukin и barman01
 
спасибо за советы. Я в общем решил остановиться на 1921 + 2960. Бюджет принципиально одобрили. Я думаю это дороже, но в перспективе будет лучше.

Всего записей: 699 | Зарегистр. 19-10-2006 | Отправлено: 03:07 14-12-2012
zubastiy

Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Добрый день.
 
Есть cisco1811 и сеть 192.168.7.0/24  + cisco asa5505 192.168.54.0/24
IPSEC между сетями.
есть и другие сети, за cisco870 DMVPN + IPSEC
 
В сети 192.168.7.0/24 есть сервис (работает поверх ssh)резервированный силами UCARP (два сервера, один активный, второй пассивный, + специальный ip который появляется у сервера в том случае, если он считается ведущим)
Тобишь у сервера на котором работает сервер два ip адреса, один реальный, второй ip - виртуальный.
Обращения идут - на виртуальный.
 
из сетей за cisco870 нормально цепляюсь к сервису, из сети за ASA не могу прицепится к ssh серверу  
 
думается мне, что это изза какой либо инспекции со стороны asa.
подскажите пожалуйста, куда копать, чтобы изменить данную ситуацию в сторону - "заработало"? )

Всего записей: 489 | Зарегистр. 13-10-2005 | Отправлено: 22:25 18-12-2012
onetosx

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
zubastiy
 
Серверу известно о сети 192.168.54.0/24?  
На пинги виртуальный адрес отвечает?

Всего записей: 88 | Зарегистр. 24-09-2007 | Отправлено: 08:23 19-12-2012
DenRassk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Добрый день.
Прикупили 18 Cisco ASA 5505, но возникла проблема с подключением к ним.  
В инструкции написано поключить к компу и в браузере написать https://192.168.1.1/admin выбрать скачать ASDM Launcher и установить.
Проблема в том, что в браузере вообще ни чего не отображается кроме 404 - нет страницы... ни сертификат не спрашивает установить - ни чего - только набрал строку и нажал Enter - мгновенно ошибка 404 ...
Пробовал найти на дисках которые были с ассами - там только различные версии ASDMов, причем все демо, а ASDM Launcherа нет.
Написал письмо в техподдержку - ответили скачайте ASDM Launcher и установить и дали ссылку на свой сайт cisco.com, причем так и написали - скачайте от сюда  http://www.cisco.com , перекапал сайт и не нашёл ничего кроме как запустите браузер и т.д.
Где его брать-то этот ASDM Launcher? Дайте ссылку на дистрибутив или объясните популярно как его получить?

Всего записей: 408 | Зарегистр. 27-11-2003 | Отправлено: 09:58 19-12-2012 | Исправлено: DenRassk, 10:00 19-12-2012
Valery12

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Пробовал найти на дисках которые были с ассами - там только различные версии ASDMов причем все демо, а ASDM Launcherа нет.  
смотрю свой диск, папка ASDM, в ней asdm-661.msi

Всего записей: 2325 | Зарегистр. 21-07-2003 | Отправлено: 10:26 19-12-2012
DenRassk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Valery12
У меня на диске, из комплекта с ассами, в папке ASDM лежат только демо варианты. Вот содержимое:
asdm-509.bin
asdm-525.bin
asdm-615.bin
asdm-635.bin
asdm-645.bin
asdm-625-53.bin
asdm-demo-525.msi
asdm-demo-615.msi
asdm-demo-625.msi
asdm-demo-635.msi
asdm-demo-645.msi
Можете подклиться asdm-661.msi и asdm-661.bin?
 
К слову, от безвыходности запустил asdm-demo-645.msi, установил и запустил - блин... если убрать галку "Demo" то просит адрес ciscки и нормально к ней подключается.... блин... а нельзя было сразу написать в руководстве об этом, а не посылать в браузер...
 
Сейчас на сайте cisco лежит ASDM 7.1.1 в виде asdm-711.bin и рядом asdm-demo-711.msi ... ( смотрим тут )
Может они все теперь называются демо?

Всего записей: 408 | Зарегистр. 27-11-2003 | Отправлено: 12:48 19-12-2012 | Исправлено: DenRassk, 13:08 19-12-2012
zubastiy

Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
onetosx
 

Цитата:
zubastiy  
 
Серверу известно о сети 192.168.54.0/24?  
На пинги виртуальный адрес отвечает?

 
Пинги не ходят. Только на asa это происходит, за обычными рутерами - без каких либо вопросов.
 
Запросы от сервера к хосту в сети 192.168.54.0/24 - уходят.
Запросы от хоста к серверу - тоже доходят.
 
tcp        0      0 192.168.7.200:22        192.168.54.241:772      SYN_RECV    -    
 
а! нужно посмотреть, приходит ли syn к 192.168.54.241            
 
ЗЫ, не приходит.  
 
Подскажите плз, до какого уровня ASA logging повысить, чтобы гарантированно отслеживать факт отбива поддельных, по мнению asa, пакетов?
 
ЗЫЫ. нашел. Рубит ipsec работающий на одном интерфейсе с static nat который проброшен для 192.168.7.200:22
При это сети за девайсами IPSEC over что либо - нормально работают с 192.168.7.200
UCARP вообщем то не причем

Всего записей: 489 | Зарегистр. 13-10-2005 | Отправлено: 12:20 20-12-2012 | Исправлено: zubastiy, 22:04 27-12-2012
barman01

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DenRassk
включаешь комп в асу в любой порт кроме 0, по dhcp получаешь у нее адрес и тогда по указанному тобой выше адресу заходишь на нее. asdm загрузится с нее.

Всего записей: 33 | Зарегистр. 02-03-2006 | Отправлено: 21:45 26-12-2012
ktoto1



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Такой вопрос :  
 
Есть 515Е. нужно транспарант режим и ВПН.  
Вопросы такие :
1) Можно ли как-то настроить ВПН если пикс в транспарантном режиме ? Думаю что можно. Но в доке хитро написано что-то относительно менеджмент интерфейса онли. Трактовать можно двояко.
2) Можно ли настроить так чтобы транзитные пакеты в определенном направлении запихивались в тунель айписек при условии что пикс будет в транспарант режиме. ?

Всего записей: 415 | Зарегистр. 15-12-2004 | Отправлено: 14:50 11-01-2013 | Исправлено: ktoto1, 14:50 11-01-2013
Smito1



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
привет, подскажите пжл
есть шлюз cisco 506e  
раньше с циско не работал, с командной строкой дружу так себе, так что особо не пинайте
схема интернета такая шлюз циско (10,0,1,1)  -> фри бсд с проксей (10,0,1,12) -> сервер 2008 с выдачей dhcp (10,0,1,4)  
нужно прописать айпи компа (10,0,1,35) что бы минуя прокси можно было сидеть в инете и качать в торенте
и как сохранить конфиг настроенного уже циско, доступ через телнет, айпи и пас есть
 
я так понимаю на циско прописано что кроме как айпи прокси не может заходить даже если вручную прописать, несколько компов маков работает напрямую, только делал это прошлый админ и что как не совсем понятно

Всего записей: 373 | Зарегистр. 19-12-2006 | Отправлено: 18:29 18-01-2013
dencat

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Подробнее...

Всего записей: 1 | Зарегистр. 21-01-2013 | Отправлено: 22:39 21-01-2013
Smito1



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
подскажите хоть команду что бы зайти с телнета и посмотреть текущие настройки, айпи провайдера маску и т.д.)

Всего записей: 373 | Зарегистр. 19-12-2006 | Отправлено: 14:16 22-01-2013
DenRassk



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Добрый день.
Не прошло и недели, но волосы стоят дыбом от ASA 5505 и кучи прочитанных инструкций.
Ткните носом в инструкцию в которой для дибилов написано как настроить Site to Site VPN между двумя стоящими на столе ASA 5505 с OS 9.1 и ASDM 7.1
Вроде делаю как пишут и советуют, но не поднимается VPN и всё тут... самооценка падает в ноль... вроде всё прозрачно до нельзя, вроде всё понятно ... почему не работает сразу?
Может надо другую версию OS - скажите какую лучше...
Делаю без всяких извращений - просто чтобы заработало и компы из одной сети увидели другие.
Заранее спасибо за помощь.

Всего записей: 408 | Зарегистр. 27-11-2003 | Отправлено: 16:01 24-01-2013
kirillkr



Full Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Прошу прощения за возможно ламерский вопрос, но
1. Я не сисадмин - доступ к самой циске не имею (но знаю кого надо пнуть - главное обосновать в каком направлении).
2. Поставил клиента Cisco AnyConnect Secure Mobility Client 3.1.01065 на Win 8. До какого-то момента она прекрасно работала, но сейчас при подключении к двум совершенно разным цискам дает следущее сообщение

Код:
---------------------------
Cisco AnyConnect
---------------------------
The service provider in your current location is restricting access to the Internet. You need to log on with the service provider before you can establish a VPN session. You can try this by visiting any website with your browser.
---------------------------
ОК    
---------------------------

3. Сисадмин говорит что это все Win 8 и он со своего мака с этой же версией прекрасно подключается. Я не спорю, может и в ней дело, но что именно? Где подправить?

Переустановка клиента помогла.

----------
http://www.kraeg.ru

Всего записей: 538 | Зарегистр. 08-03-2006 | Отправлено: 00:58 01-02-2013 | Исправлено: kirillkr, 11:07 01-02-2013
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Настройка Cisco PIX Firewall / ASA


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru